メインコンテンツまでスキップ

Takumi Runner が cicd-sensor との連携に対応

· 約7分
Rio Nishimori
Rio Nishimori
Software Engineer @ GMO Flatt Security Inc.

Takumi が、オープンソースの eBPF ランタイムセキュリティセンサー cicd-sensor との連携に対応しました。GitHub ホステッドランナーや GitLab CI/CD など、Takumi Runner の専用ランナー以外で実行される CI/CD ジョブからもトレースログを収集し、Takumi で管理できるようになりました。

Takumi Runner と cicd-sensor の構成比較

cicd-sensor のトレースログは本日同時にリリースした脅威検出機能にも対応しています。

背景​

Takumi Runner は、Takumi の専用ランナーでジョブを実行することによって、プロセス実行・ネットワーク接続・DNS クエリ・ファイルアクセスといった eBPF トレースを収集する仕組みです。一方で、実行環境の制約や移行の手間などの理由で、 Takumi Runner に移行することが難しい場合もあります。

そこで、実行環境の移行が必要ない cicd-sensor を活用する手段の提供を開始しました。 CI/CD パイプラインに cicd-sensor を導入し、Takumi の Manager のエンドポイントと認証情報を指定するだけで、トレースログを Takumi に送信できるようになります。

上記アーキテクチャー図の通り、Takumi Runner では CI/CD ジョブを弊社運用の専用ランナーで実行することによってトレースログを収集します。cicd-sensor 連携は、GitHub ホステッドランナーやご自身で運用されているセルフホステッドランナーなど、今までのご利用の環境に cicd-sensor を導入してそこでトレースされたログを Takumi に送信する仕組みです。

メリット​

cicd-sensor から収集したトレースログは、Takumi Runner のトレースログと同じ扱いで管理されるため、トレースログの可視化・検索や脅威検出をご利用いただけます。

トレースログの可視化

Shisho Cloud の画面からは可視化されたトレースデータを確認できます。

ネットワークタブ

トレースログの検索

Shisho Cloud では集めたトレースログの内容を検索することができます。サプライチェーンインシデントが発生した期間中に実行されていた CI/CD ジョブに影響があったかを確認できます。

検索結果

脅威検出

脅威検出は、サプライチェーンインシデント時に能動的にトレースログをもとに影響調査を行い、影響があった場合に通知を送る機能です。ご利用いただくとご自身での調査が不要になるため、専門知識不足やインシデントの見逃しなどが解消されます。

サプライチェーンインシデント発生時の対応：これまでと脅威検出機能

サポートされている CI/CD パイプライン​

cicd-sensor の連携は実行環境に依存しないため、基本的に cicd-sensor がサポートする CI/CD パイプラインには対応しています。本稿執筆時点では、GitHub Actions および GitLab CI/CD がサポートされています。なお、GitLab CI/CD に関しては、セルフホストの GitLab Runner（Docker executor）が対象となります。

利用方法​

cicd-sensor の連携は、以下 3 ステップで行います。

  1. CI/CD ジョブに cicd-sensor を導入
  2. Takumi の Manager を cicd-sensor の manager-url に設定
  3. cicd-sensor の manager-token に認証情報を設定

GitHub ホステッドランナー​

cicd-sensor のステップをジョブの先頭に追加し、パラメータ manager-url に Manager エンドポイントを指定します。

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - uses: cicd-sensor/cicd-sensor-action@a803a7bc1890f85d3f2feb7c29b74b5c730da6c2 # v0.0.37
        with:
          manager-url: https://manager.cicdsensor.cloud.shisho.dev
          manager-token: ${{ secrets.SHISHO_CICD_SENSOR_TOKEN }}

認証（manager-token）は、Shisho Cloud のボット経由で行われます。ボットの作成など、認証の設定方法はユーザーガイドをご確認ください。

ジョブの実行が完了すると、ジョブとトレースの内容が Shisho Cloud コンソールに反映されます。

GitHub セルフホステッドランナー・GitLab CI/CD​

これらの環境では、cicd-sensor がランナーのホスト上で動作するため、パイプラインではなくホスト側で cicd-sensor の導入と Manager エンドポイントの設定を行います。設定方法は cicd-sensor のドキュメントをご確認ください。

Takumi の Manager エンドポイントは https://manager.cicdsensor.cloud.shisho.dev です。

認証情報は、Shisho Cloud で API キーを発行し、 manager-token として指定します。ボットの作成や API キーの詳細は、ユーザーガイドをご確認ください。

料金体系​

cicd-sensor 連携をご利用いただくには Takumi Runner の基本プランが必要です。

基本プラン内では、毎月ジョブ実行時間の合計 3000 分のトレースログまで受け付けます。今年2026年9月1日以降、3,000 分を超過したジョブ実行のログ受け付けには、分単位で料金が発生します。

info

2026年8月31日までは 3000 分の上限なしでトレースログを受け付けます。

cicd-sensor 連携の料金体系の詳細は料金体系をご覧ください。

Takumi Runner の利用開始方法​

cicd-sensor 連携も含め、Takumi Runner を利用するには、Takumi サブスクリプションの契約と Runner の有効化が必要です。

  1. https://cloud.shisho.dev/hello/takumi にアクセスし、サインインしてください
  2. 組織を登録し、Takumi サブスクリプションを契約してください
  3. 画面左のサイドバーから Runner > 設定 にアクセスしてください
  4. 「有効化する」ボタンをクリックして Runner を有効化してください

Runner セットアップ画面

有効化が完了したら、cicd-sensor 連携のユーザーガイドに従ってセットアップを進めてください。